Last Updated on 2024-07-16 05:06 by admin
Microsoft Outlookのセキュリティ欠陥が、特別に作成されたファイルを開くことでNT LAN Manager (NTLM) v2のハッシュ化されたパスワードを漏洩させる可能性があることが研究者によって明らかにされました。この脆弱性はCVE-2023-35636として追跡され、CVSSスコアは6.5です。Microsoftは2023年12月のPatch Tuesdayアップデートの一環としてこの問題に対処しました。
攻撃者は、特別に作成されたファイルをユーザーに送信し、ファイルを開くよう説得することでこの脆弱性を悪用できるとされています。また、攻撃者はウェブサイト上でこのファイルをホストすることも可能で、ユーザーがリンクをクリックしファイルを開くよう誘導することができます。この脆弱性はOutlookのカレンダー共有機能に起因し、”Content-Class”と”x-sharing-config-url”の2つのヘッダーに特別な値を挿入することで、認証時に被害者のNTLMハッシュを露呈させるメールメッセージが作成されます。
Varonisのセキュリティ研究者Dolev Talerによって発見され報告されたこのバグは、Windows Performance Analyzer (WPA)とWindows File Explorerを利用してNTLMハッシュを漏洩させることが可能ですが、これらの攻撃方法はまだ修正されていません。Talerは、通常NTLM v2は内部IPアドレスベースのサービスに対して認証を試みる際に使用されるべきであるにも関わらず、NTLM v2ハッシュがインターネット上を通過する際にはリレー攻撃やオフラインのブルートフォース攻撃に対して脆弱であると指摘しています。
Microsoftは2023年10月に、NTLMが暗号化メソッドをサポートしておらずリレー攻撃に対して脆弱であるため、Windows 11でのNTLMの使用を中止し、より安全なKerberosに移行する計画を発表しました。
【ニュース解説】
Microsoft Outlookにおけるセキュリティ脆弱性が、特定のファイルを開くことでNT LAN Manager (NTLM) v2のハッシュ化されたパスワードを漏洩させる可能性があることが研究者によって発見されました。この問題はCVE-2023-35636として識別され、CVSSスコアは6.5と評価されています。Microsoftはこの問題を2023年12月のPatch Tuesdayアップデートで対処しました。
この脆弱性を悪用するためには、攻撃者はユーザーに特別に作成されたファイルを送信し、それを開くよう説得する必要があります。この攻撃は、メールを通じた攻撃シナリオのほか、ウェブサイト上で特別に作成されたファイルをホストし、ユーザーがそのリンクをクリックしてファイルを開くよう誘導するウェブベースの攻撃シナリオでも可能です。
この脆弱性は、Outlookのカレンダー共有機能に関連しており、特定のヘッダーを持つメールメッセージを作成することで、認証時に被害者のNTLMハッシュを露呈させることができます。この問題の発見と報告はVaronisのセキュリティ研究者であるDolev Talerによって行われました。
この脆弱性の発見は、セキュリティコミュニティにおいて重要な意味を持ちます。NTLMは長年にわたりWindows認証の基盤として使用されてきましたが、暗号化メソッドをサポートしておらず、リレー攻撃やブルートフォース攻撃に対して脆弱であることが知られています。MicrosoftがWindows 11でNTLMの使用を中止し、より安全なKerberosへの移行を計画していることは、このような脆弱性に対処するための重要なステップです。
この脆弱性の発見と修正は、企業や個人ユーザーにとって、セキュリティ対策の重要性を再認識させるものです。特に、認証情報の保護は、サイバーセキュリティの基本的な要素の一つであり、攻撃者による悪用を防ぐためには、定期的なソフトウェアアップデートの適用が不可欠です。また、このような脆弱性が存在することを理解し、適切な対策を講じることが、セキュリティリスクを最小限に抑えるために重要です。
長期的には、認証プロトコルの改善と更新は、サイバーセキュリティの強化において中心的な役割を果たします。Microsoftのような企業がセキュリティを重視し、より安全な認証方法への移行を進めることは、全体としてのインターネットの安全性を高めることに貢献します。
from Researchers Uncover How Outlook Vulnerability Could Leak Your NTLM Passwords.
